【正解: A】の理由

Zero Trust ネットワーク設計の中心原則は「Never Trust, Always Verify」で、Azure では (1) すべての PaaS 通信を Private Endpoint / Private Link で Public Internet 経由しない、(2) NSG / Firewall を Default Deny にして明示的許可のみ、(3) Bastion で Public IP なしの管理アクセス という 3 つを組み合わせる多層防御が標準パターンです。

【他選択肢が違う理由】

• B: VPN Gateway 経由は Hybrid 接続の一部で、Zero Trust の本質ではありません。
• C: Public 経由は Zero Trust に反します。
• D: 単一 Firewall は Defense in Depth に反します。

【参考】

Zero Trust ネットワーク